올해 5월 말 발생한 티빙 해킹으로 인해 이용자 계정 3954만 개(인당 중복 계정 포함)의 개인정보가 유출된 것으로 확인됐다. 공격자는 허술한 보안 시스템을 틈타 접속키를 빼앗아 티빙 내부 시스템에 침투한 것으로 조사됐다. 이에 티빙은 공식 사과와 함께 정보보안 투자 계획 및 고객 보상 패키지를 내놨다.
과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단 티빙 침해사고 조사 결과를 발표했다. 임정규 과기정통부 정보보호네트워크정책관은 이날 브리핑에서 “활성화·비활성화·테스트 계정까지 티빙의 모든 계정이 유출됐다”고 말했다.
중복 계정을 포함해 전체 유출 계정은 3954만개에 달한다. SNS(네이버·카카오 등) 간편가입 계정이 2247만개로 약 57%를 차지했다. CJ ONE 통합회원(863만개), 티빙 자체 가입(726만개)이 뒤를 이었다. 이들 계정 중 로그인이 가능한 활성화 계정은 2206만개였다. 비활성화 계정은 1737만개(휴면 계정 850만 개, 탈퇴 계정 887만 개), 테스트 계정은 11만개다. 한 명의 이용자가 최대 13개 계정을 보유한 사례도 확인됐다.
유출된 정보는 ID와 비밀번호, 성명, 휴대전화 번호, e메일 주소, 생년월일, 연계정보(CI) 등을 포함해 20개 항목(70종)에 달했다. 조사단은 국내가 아닌 해외 계정으로 빠져나간 사실까지 확인했지만 정확한 국가나 서버 소재지 등은 경찰 수사가 진행 중이다. 다만 현재까지 불법 다크웹 거래와 같은 이용자 2차 피해 사례는 확인되지 않았다.
공격은 5월 29일~31일 사흘간 진행됐다. 공격자는 개발환경 접속키를 탈취해 티빙 내부 시스템에 침투한 후 개발 프로젝트 361건에서 운영환경 접속키를 찾아냈다. 이를 통해 이용자 데 이터베이스가 저장된 클라우드 저장소에 침투해 이용자 정보를 빼갔다.
티빙이 해킹을 막지 못한 데엔 허술한 보안 체계의 영향이 컸다. 접속키를 별도 저장공간에 분리 보관하지 않고 개발 편의상 소스코드 내부에 숨김없이 그대로 노출한 채 사용한 것이다. 심지어 2024년 모의해킹 당시 이러한 문제를 발견하고도 개선하지 않았다.
티빙은 이날 서울 중구 코리아나 호텔에서 설명회를 열어 2030년까지 정보보호 투자를 4배로 확대하고 정보보호혁신 자문위원회를 신설하는 등 정보보안 투자 계획을 발표했다. 또한 개인정보 유출 고객들에게 △안심 보험 △5000원 상당의 티빙 포인트 등을 제공하기로 했다. 최주희 티빙 대표는 “민관합동조사단의 최종 조사 결과를 겸허히 받아들이며 지적된 사항에 대한 필요한 모든 시정 조치와 재발 방지 대책을 책임감을 가지고 끝까지 이행하겠다”며 머리숙여 사과했다. 이어 “정보보호를 회사의 가장 중요한 책임이자 경쟁력으로 삼고 정보 보안 투자와 인력을 확대하는 등 보안 체계 전반을 근본부터 재구축하겠다”고 강조했다.